サイバー攻撃やITに関係する事件が、日々世間を賑（にぎ）わせています。多くの場合、それは報道という形で私たちの耳に入ってくるわけですが、次から次に報じられる新しいニュースに流され、どんな大きな事件もいつの間にか忘れられてしまいがちです。 つらい事件の記憶が薄れるのは、ある意味では正しいのかもしれません。しかし、事件から得た教訓まで忘れてしまってはいけません。そこで今回は、皆さんもきっと名前だけは覚えているであろう過去の事件と、事件が世間の記憶から消えそうになる頃に発表された「報告書」に着目したいと思います。 「標的型攻撃」の典型例となった、日本年金機構の不正アクセス問題 まずは2015年5月に明るみに出た、日本年金機構のインシデントから見ていきましょう。日本年金機構のネットワーク内にマルウェア「Emdivi」が侵入し、遠隔操作が行われた事件です。この事件は「職員が自分宛てに届いたメールの不

7payの撤退の会見について、その素早い損切りの決断を大局的な損害の極小化という意味で評価する意見をいくつか目にした。同意できる部分もあるが、不正利用の原因をリスト攻撃だと強弁するところなど、どうにも違和感を感じる部分も多い。この違和感は、エンジニアの多くが感じているもののようだが、それは最後まで解消されないまま終わりそうだ。 これについて、「7payの関係者の多くは不正利用の報告をクレーマーに対応する方法論で処理している」と考えると説明しやすいのではないかと思った。 新しい商品やサービスに対して、消費者から多くのクレームが同時に上がったら、無視していいものではない。むしろ、改良のための貴重な情報源として生かすべきだ。そのためには、クレームを分類して、同じような指摘が多く上がっているところから、対応していく。ここまでは、クレーム処理も不正利用報告も同じだろう。 不正利用の被害を分析していく

※粗い文章で公開してしまったので追記しました。追記箇所には※を入れています。（2019/8/4） 暇なのでセブンアイHDのIR資料を読んでいたら、面白いことに気付いてしまったので書きます。 結論から言うと、セブンペイの失敗の原因は2016年にあった！ というお話です。 セブンアイHDのIR資料って、ずっと英語で書かれていたのに、2016年からいきなり日本語になってるんです。内容も、経営計画とか今後の事業展開とか海外展開とか株主向けっぽい内容から、2016年以降は「地域貢献」やら、やたら国内に向けた作りになってる。 これは2016年に何かが起きた。 そう思って調べてみたら、どうやら2016年5月、「セブンの乱」と言われるお家問題が起きていたようです。 どういう出来事だったかというと、25年会長を務めていた鈴木敏文氏が退任し、当時セブン-イレブン・ジャパン社長だった井阪隆一氏がセブンアイHDの

7payは7月30日午後に、全利用者のパスワードをリセットすると発表した。報道によると「（7iDを使う7payの不正利用問題で）パスワードリスト攻撃を受けた可能性が高く、リスクを極小化するため」（広報）と説明しているという。筆者はIdPを運用している立場でしばしば攻撃に直面して数百万人単位のパスワードのリセットを決断した経験があるが、これは奇妙なことだ。 一般にパスワードリスト攻撃を受けている場合では、全利用者のパスワードリセットを行う必要はない。リスト型攻撃が成功した利用者に限ってリセットを行うのが一般的な運用だ。 パスワードをリセットすると多くの利用者が離脱する上に、サポート窓口の負荷が上がるため、数十万人のパスワードをリセットする場合も、時間をかけて反応を見ながら徐々に行う運用が一般的だ。 全利用者のパスワードをリセットする必要があるのは、例えばバグや脆弱性の性質から被害者を特定でき

7payをめぐる脆弱性の懸念が解決しないまま、不正使用事件発覚から約3週間が経った。この間、実行犯とみられる複数の中国籍の容疑者が逮捕され、また外部ID連携の実装の不備から、セキュリティーの懸念を指摘する報道が続いている。 セブン&アイHDは7月中を目処に、今後の対応策などを公表する予定だ。 しかしここへきて、これまでとは異なる、別の問題が浮上してきた。 7payにも関連する、ECアプリ｢オムニ7｣の設計図にあたるソースコードが漏洩していた可能性がある。オムニ7アプリはセブン-イレブンアプリとは別アプリだが、ログインまわりの設計は非常に似通っているとみる専門家もいる。 事実であれば、アプリ開発の管理体制、アプリ自体やサービスのセキュリティーに関するリスクの有無についても、一層の警戒が必要になる可能性がある。

のぞみ全車指定のJR西日本、「お乗りになってから初めて自由席がないことにお気付きのお客様」とつい煽ってしまう

「セブンペイ　HP」より 7payでの「クレジットカードからの不正チャージ」事件は、史上まれに見る「ずさんなセキュリティ」が背景にあることがわかってきました。被害者インタビューから考えると、セブンイレブンからの情報漏えいの可能性を考えなければなりません。 決済業界の中の人・めるかば氏も被害 7payの事件では、多くの被害者が経緯をTwitterでリポートしています。そのなかでもっとも信頼できる情報を発信されているのが、めるかば氏です。めるかば氏は、ある企業で決済の仕事をされており、まさに今回の事件が起きた同じ業界にいらっしゃる方です。めるかば氏に伺った話から、被害の経緯をまとめます。 被害にあっためるかば氏の報告ツイート。一連のツイートで被害状況を詳しくリポートしている めるかば氏の被害経緯 ・7月１日：7payサービス開始にともない登録。5,000円チャージし、1度決済 ・7月3日朝：7

Business Insider Japan編集部｢7pay｣取材班は、7payの開発スケジュールを取りまとめた内部資料を入手した。 開発現場の関係者の間でやりとりされた資料の最終版に近いもので、2018年末からサービスイン直前までの間が、どのようなスケジュールで動いたのかを示す資料だ。現場をよく知る複数の関係者の証言からは、記者会見で注目が集まった｢セキュリティー不備｣につながる慌ただしい開発現場の姿が浮かび上がる。 7payの不正利用に関しては、7月3日にアカウント乗っ取りと不正利用が発覚し、続く4日セブン＆アイHDが記者会見で被害推定額を｢約5500万円｣と発表。同日夜に中国籍の男2人が不正利用に関して詐欺未遂の容疑で逮捕された。 セブン＆アイHDはセキュリティー対策の甘さへの指摘を受ける形で、5日にはセキュリティー対策強化を目的とした新組織発足と二段階認証導入、1回あたりのチャージ

セブン＆アイ・ホールディングスのスマホ決済サービス「7pay（セブンペイ）」で不正アクセス被害が発生し、混乱が生じている。7月4日の記者会見によると、被害者は約900人、被害額は約5500万円に上るという。不正アクセスを招いたセブンペイの脆弱な仕様に加え、記者会見上でセブン・ペイの社長が「2段階認証」を知らないと思われる発言をしたことで、ネット上に経営トップのITリテラシーの低さを嘆く声が広がっている。 ＊＊＊ 経営トップの“デジタル音痴”が命取り 実際、経営トップのITリテラシーが企業の明暗をわける事例はめずらしくない。かつてアメリカに君臨したビデオレンタル界の巨人、ブロックバスターが破綻する過程はその代表例といえるだろう。同社はシリコンバレー発のIT企業ネットフリックスに敗れて破綻するが、最後のトリガーを引いたのは、自らの経営トップの“デジタル音痴”だった。『NETFLIX コンテンツ

「一過性のトラブル」ではありません セブン＆アイ・ホールディングスの独自決済サービス「7pay」が、セキュリティ問題に揺れている。 クレジットカードなどから不正にチャージが行われ、タバコやプリペイドカードなど、換金しやすい製品を不法に購入される被害が続出したのだ。金銭的被害は、7月4日の段階で5500万円にのぼるという。サービス開始から、たった3日間での出来事だ。 7payは、この記事を執筆している7月8日現在、新規の会員登録と残高のチャージを停止している。原因の究明とシステムの改良が行われている状況だ。 7payに、いったい何が起きたのか？ そこには、単に一企業の問題にとどまらない、「技術と経営」に関する普遍的な課題が隠れている。あらゆる企業の経営者にとって、そしてそこに勤めるビジネスマンにとっても、決して一過性のトラブルとしてすませるわけにはいかないこの問題の「深層」に迫ってみよう。

この記事には広告を含む場合があります。 記事内で紹介する商品を購入することで、当サイトに売り上げの一部が還元されることがあります。 7pay（セブンペイ）の不正利用が話題になっています。 個人情報の流出というだけなら割とよく聞く話ですが、今回は7pay側のあまりに杜撰すぎるシステムと事後対応が批判の的に。 二段階認証を設定していないため、メールアドレス、生年月日、電話番号さえわかれば第三者でも簡単にパスワード変更ができてしまいます。 さらにはiOS版だと生年月日を登録なしにでき、その場合は2019/1/1が自動入力される仕組み（⇒生年月日を知らなくても突破される可能性すらある）。多少でもITをかじったことのある人間なら、あり得なさすぎて乾いた笑いしか出てこない状態。 第三者であっても「メールアドレス（セブンイレブンアプリに登録したもの）」「生年月日」「電話番号」がわかれば、パスワードを変更

セブン&アイ・ホールディングスが満を持してスタートしたバーコード決済サービスの7pay。しかしサービス開始早々、第三者による不正利用が発覚、通常では決済アプリに導入されている2段階認証が導入されていなかったことなど、セキュリティ面に問題があったことが浮き彫りになってきた。 業界全体の不信感にもつながりかねないトラブルに、楽天ペイを展開する楽天の三木谷浩史会長兼社長は「他社さんのサービスについてはなかなかコメントしづらいところが正直あるが、基本的に今後、業界全体として、やはりセキュリティの問題についてはレベルをしっかりと上げていくことが必要だと思っている」と話している。

セブンイレブンのQR決済「7Pay」がリリース翌日から大規模な不正アクセスの被害を受け、少なくとも約900人が、計約5500万円の被害を受けた。原因は杜撰なIDの設計にあり、被害者はいずれもIDを乗っ取られて、クレジットカードから不正にチャージされた。 自分の設定したIDとパスワードを入力して、どちらも正しい場合にログインできる仕組みは1960年代前半に発明されて以来、今もインターネット上で最も広く利用されている。GAFAはじめYahoo!や楽天といった大手企業が今も使っていることから、十分に安全と思われがちだ。 ところが実際のところ特にここ数年は非常に激しい攻撃に晒されており、血の滲むような努力と不断の改善によって維持されている。利用者は自分が入力したIDとパスワードしか意識しないけれども、その裏では端末環境の特徴やアクセス元のIPアドレスや位置情報、同時に利用している他の端末など、実に

まとめ 【注意喚起】「7pay」でさっそくクレカ不正利用 相次ぐ高額チャージ→使用、ようやくセブンも認める 【7/4 14:00更新】全額補償の意向などが記載されたセブン&アイによる最新のリリースが掲出されています：[PDF]https://www.7andi.com/library/dbps_data/_template_/_res/news/2019/20190704_01.pdf 226499 pv 2255 156 users 485

","naka5":"<!-- BFF501 PC記事下（中⑤企画）パーツ＝1541 --><!--株価検索 中⑤企画-->","naka6":"<!-- BFF486 PC記事下（中⑥デジ編）パーツ＝8826 --><!-- /news/esi/ichikiji/c6/default.htm -->","naka6Sp":"<!-- BFF3053 SP記事下（中⑥デジ編）パーツ＝8826 -->","adcreative72":"<!-- BFF920 広告枠）ADCREATIVE-72 こんな特集も -->\n<!-- Ad BGN -->\n<!-- dfptag ＰＣ誘導枠５行 ★ここから -->\n<div class=\"p_infeed_list_wrapper\" id=\"p_infeed_list1\">\n <div class=\"p_infeed_list\">

Meiji Seikaファルマ(旧・明治製菓)、暴走する反ワクチン過激派に堪忍袋の緒が切れて怒りの法的措置へ

「７ｐａｙ」900人に不正アクセス 被害5500万円か | NHKニュース https://www3.nhk.or.jp/news/html/20190704/k10011982321000.html ７Ｐａｙ、新規登録を停止　不正相次ぐ、全被害補償へ：朝日新聞デジタル https://www.asahi.com/articles/ASM744G05M74ULFA00Y.html 7payのパスワード再設定に脆弱性、運営元が対策　「解決していない」との指摘も - ITmedia NEWS https://www.itmedia.co.jp/news/articles/1907/04/news079.html

コンビニ最大手、「セブン‐イレブン」のスマホ決済サービス、「７ｐａｙ」の運営会社は、およそ900人が第三者による不正アクセスの被害に遭い、被害額はおよそ5500万円に上る可能性があると発表しました。会社では、「７ｐａｙ」へのチャージと新規登録を停止し、原因の究明を急ぐとしています。 この問題でサービスを運営する「セブン・ペイ」の小林強社長は記者会見し、４日午前６時の時点の試算で、およそ900人が第三者による不正アクセスの被害に遭い、被害額はおよそ5500万円に上る可能性があると発表しました。 そのうえで、「７ｐａｙ」へのすべてのチャージと新規の登録を停止し、安全性を確認するとしていて、現時点は再開のめどは立っていないとしています。 一方、すでにチャージ済みの金額については、引き続き利用できるということです。 会社では、被害に遭ったすべての利用者に対して補償を行う方針で、小林社長は「被害に遭

Meiji Seikaファルマ(旧・明治製菓)、暴走する反ワクチン過激派に堪忍袋の緒が切れて怒りの法的措置へ

モバイル決済サービス「7pay」で不正ログイン被害が相次いでいる問題で、運営元のセブン・ペイがこのほど、7iDのログインパスワードを再設定する手順を変更したことが分かった。第三者がユーザーの生年月日や電話番号、会員ID（メールアドレス）を知っていると、第三者のメールアドレスにもパスワードを再設定するためのメールを送れる、という問題に対処した。だが、ネット上では「解決していない」という声も上がっている。 第三者がパスワードを再設定可能 7payでは1日のリリース直後から、第三者にアカウントが乗っ取られ、残高を不正利用される被害が発生。Twitter上では「クレジットカードで計18万円不正チャージされ、9万円を使われた」といった報告が相次いだ。セブン・ペイは3日、不正ログイン防止のためにログインIDやパスワードの管理を気を付けるように呼び掛けた他、クレジットカードとデビットカードによるチャージ